いまさら聞けないITシリーズ第一回：スマホ利用のリスクって？

アプリを安全に使うには？

昨今、パソコンを無防備に使う人はあんまりいませんよね。でもスマホは自分で選んだ自分のもので、いつでもどこでも自分の使いたいようにゲームやSNSなどを楽しめる。でも、セキュリティの観点ではどうしたらいいか、あまりアドバイスを目にしないですよね。アプリ選び、とかですか。

アプリ選びはね、まあ、どうでもいいんですよ（笑）

のっけからそんなこと言っちゃっていいんですか（笑）

誤解を恐れずに言えば、不正なアプリを排除するのは、GoogleやAppleの仕事ですから。それに、子供さんのアプリ選びを見守るのは親御さんの見極めが大事。ほら、この問題は別次元なんですよ。それはそれで大事なので、オーダーがあればまた別の時に話しましょう。ここではむしろ、ユーザとして、「スマホを安全に使うには、どうしたらいいか」ということを、しっかり考えて欲しいですね。

アップデート、とかですか。

正解。NHKのチコちゃんに「つまんない」と言われるやつですけど（笑）、ずばりそのとおりなんです。

当ててしまった（笑）確かに、スマホは毎年メジャーバージョンアップがあるので、一年以上ほったらかしにしても安全、ということは原理的にありえないですからね。

さすがシステム視点ですね。

でも、ちゃんとアップデートしてるって自信を持って言える人はそんなに多くないでしょうね。アプリのアップデート情報を放置している人に、「危ないですよ！アップデートしてね！」って言って回るわけにはいかないじゃないですか（笑）そういう背景からか、最近の機種は自動アップデート機能がありますよね。

悩ましいのは、スマホの普及とともに、パソコンもなくなってたりして、自宅のインターネットとかWi-Fiとかがない人も出てきていますよね。キャリアの通信だけでアプリのアップデートをすると「ギガ」ががっつり減るんですよ。それで、わざわざ自動アップデートをオフにしたりしていて。

そういえば、iPhoneのソフトウエアアップデートの初期設定は「Wi-Fi環境に繋がっていて、しかも充電している状態」ですね。これは通信キャリア側への配慮もあるんでしょう。しかしこれでは、自宅にネット環境が無い人はとうていアップデートできないですよね。知らずに（もしくは無視して）アップデートをしないままスマホを使い続けることになりますよね。

市民向けにスマホ・アップデートスペースでも作りますか（笑）

それも大変そうですが（笑）ともかく、安全な方法でアップデートをまめに行うには、それなりに利用者側の決意が必要だということですね。

SMSのフィッシング詐欺

ユーザ自身ができる対策について話してきましたが、スマホ＝個人なので、サイバー攻撃対象としては格好の標的なんですよね。

パソコンに届くメールや初めてのサイトを開くときは警戒しても、スマホにくるメッセージはついつい安易に開いてしまいがちです。リンクを開くにしても、パソコンでは「マウスオーバー」で事前にURLを見られますが、スマホでは、タップするしかない。アドレスバーも見にくいですしね。ちょっと指が当たったら、ページ遷移していることもあります。知らないうちに仕込まれた攻撃を踏んでいる可能性はあるでしょうね。

そう、今増えているのが、メッセージ関連で、「スミッシング」と名付けられていますね。大手配送業者や大手銀行、大手通販企業に成りすましたメッセージがSMSに届きアクセスしてしまうことで、個人情報やID・パスワードを盗み取られるという、フィッシング詐欺です。身に覚えのない買い物をされる、ポイントを勝手に使われるなどの実害があります。被害額は国内だけで年間30億円にも上るという報告もあるんですよ。

それはビッグビジネスですよね。

そうなんです。ブラウザで買い物や送金といった重要な取引をするのも当たり前になってきましたからね。よくある、鍵マークのあるサイトは信頼できる、なんて嘘ですしね。「https://」なサイトだからといって、あれは暗号化されているというだけの印で、信憑性を確認する手段ではないですから。専用の公式アプリから利用すれば、少なくともスミッシングに引っかかるリスクは低くはなりますね。

そうですか・・・。システム提供サイドからは、なかなか難しい課題です。どうすればもっとオフィシャルアプリ、オフィシャルサイトを認識してもらえるのかな・・（悩）どこの企業も、オフィシャルアプリへの啓発に力を入れていますね。SMS送信にもコストがかかるので、攻撃する側もビジネス効果というか、費用対効果を考えるでしょう。攻撃サイドは、集めたパーソナルデータを売り買いしていますよね。これからもっと巧妙になってくるのでしょうね。

コンテンツブロッカーで対応していけたらいいんですけどね。ともかく、現時点ではスミッシングリスクなどを含め、スマホの安全な利用のリテラシーを高めていくことは、地道ですが手を抜けないです。一般の方々だけでなく、システムの提供サイドからのセキュリティ啓発の内容も、きっちりアップデートして行かないといけない。

本当ですね。

オフィシャルアプリを使おう

玉置さん、KDLはシステムの専門企業として、ユーザに安心してアプリをダウンロードしてもらえるように行っていることはありますか。あるいは顧客にご提案していることなど、どうでしょうか。

アプリ制作者欄が小文字のアルファベットだけ、アプリのロゴマークが作りこまれていないといったアプリがたくさんある中で、信頼性を演出することは重要です。

アプリができたことを公式サイトやSNSなどで発信される際、それを見たユーザが迷わず「これだ！」とたどり着けるようなデザインや、情報提供には気を配っています。例えば、オフィシャルサイトから誘導することや、ユーザがアプリを選んで、ダウンロードする段階まで迷わないようにすることなどは、基本ですが重要なこととして意識しています。

開発の技術面ではどうですか。

アプリのリスクはいろいろありますけど、通信の傍受とか、ストレージの改ざんとかが怖いですね。スマホとサーバ間の通信やストレージを暗号化することは必要。そして、アプリの裏方、つまりサーバでのAPIですね。KDLにはスマホアプリに関連するセキュリティ診断を行うチームがありますから、協力体制を組んでいます。

アプリ開発も、セキュリティ診断も、アップデート対応が大変だということですね。

だから、利用するユーザの皆さんにも、しっかりアップデートしていただきたいわけです！